backdoorskid/win-def-clickfixСканер, который оценивает, может ли Microsoft Defender пометить команду как ClickFix.
win-def-clickfix — это реплика детектирования для командных строк ClickFix / Win+R, воссозданная путём обратной разработки mpengine.dll из Microsoft Defender.
Она пропускает командную строку через восстановленный нормализатор/деобфускатор (FUN_1800a2500) и сопоставляет её с 807 сигнатурами CMDHSTR_EXT, извлечёнными из VDM, вычисляемыми по их реальной логике condition:.
Она также включает извлечённую нейронную сеть BMClientV1 — рекуррентную GRU с состоянием — исполняемую на чистом numpy, наряду со сканерами для других восстановленных путей движка (AMSI, AMSI-UAC, RPF/JIT, WMI, хосты скриптов, обфускация вставки).
